🇰🇷 한글 설명
Fort 1.6.3 미만 버전에서 발견된 취약점으로, 신뢰할 수 있는 신뢰 앵커로부터 파생된 악성 RPKI 저장소가 잘못된 비트 문자열을 포함한 리소스 인증서를 제공할 수 있습니다. OpenSSL 3 미만 버전의 libcrypto를 사용하는 경우 Fort가 포인터를 부적절하게 참조하여 크래시가 발생하며, 이는 경로 기원 검증(ROV) 불능 및 라우팅 보안 위협으로 이어질 수 있습니다.
💡 쉬운 설명
해커가 조작된 인증서 데이터를 보내면 보안 프로그램인 Fort가 이를 처리하다가 갑자기 멈춰버리는 문제입니다. 이로 인해 인터넷 경로를 확인하는 기능이 마비되어 네트워크 경로가 조작될 위험이 있습니다.
🇺🇸 원문 (English)
An issue was discovered in Fort before 1.6.3. A malicious RPKI repository that descends from a (trusted) Trust Anchor can serve (via rsync or RRDP) a resource certificate containing a bit string that doesn't properly decode into a Subject Public Key. OpenSSL does not report this problem during parsing, and when compiled with OpenSSL libcrypto versions below 3, Fort recklessly dereferences the pointer. Because Fort is an RPKI Relying Party, a crash can lead to Route Origin Validation unavailability, which can lead to compromised routing.
📍 영향받는 시스템
Fort version < 1.6.3 (OpenSSL libcrypto < 3 사용 시)
⚔️ 공격 벡터
악성 RPKI 저장소를 통한 rsync 또는 RRDP 프로토콜 기반의 조작된 인증서 전달
🛡️ 대응 방법
Fort를 1.6.3 이상 버전으로 업데이트하거나 OpenSSL 3 이상 버전이 포함된 환경으로 전환
🔧 검증 코드
Fort 버전이 1.6.3 미만이거나 OpenSSL 버전이 3.0.0 미만인지 확인합니다.
fort --version 2>/dev/null | grep -E '1\.[0-5]\.' || openssl version